02 22 PSL ISMS Projektbezogene Informationssicherheit

Zweck

„Bei der Durchführung von Projekten ist es wichtig, dass die Informationssicherheitsanforderungen berücksichtigt. werden. Dies gilt für Projekte der Organisation, unabhängig von der Art des Projekts. Durch eine geeignete Verankerung des Informationssicherheitsprozesses in den Projektmanagementmethoden der Organisation wird sichergestellt, dass keine Anforderungen übersehen werden.“ (Verband der Automobilindustrie e.V. (VDA), 2020)

Diese Richtlinie beschreibt den Umgang mit Informationssicherheit im Projektkontext. Zusätzlich zur Klassifikation eines Projektes bzgl. seines Schutzbedarfs ist für jedes Projekt eine Risikoanalyse erforderlich. Risiken, die in allen Projekten auftreten, müssen identifiziert und global behandelt werden.

Geltungsbereich

Diese Richtlinie gilt verbindlich für Projektleiter an allen Standorten. Verstöße gegen die Inhalte der Arbeitsanweisung können zu arbeitsrechtlichen Konsequenzen führen.

Durch die Veröffentlichung einer neueren Version werden alte Versionen automatisch für ungültig erklärt.

Klassifizierung von Projekten

Jedes (Kunden-)Projekt ist bezüglich seines Schutzbedarfes zu klassifizieren. Die Klassifikation erfolgt anhand der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Entsprechende Klassen und die Konsequenzen dieser Einstufungen sind definiert und allen Mitarbeiter bekannt.

Die Klassifizierung erfolgt so früh wie möglich. Sie sollte bereits in der Angebotsphase mit dem Kunden besprochen und festgelegt werden. Projektindividuelle Anpassungen sind erlaubt, sind aber schriftlich festzuhalten.

Vor Projektbeginn sind alle Projektteilnehmer über die Klassifikation, daraus abgeleitete Regeln sowie über projektspezifische Vereinbarungen zu informieren.

Wenn sich die Klassifizierung während oder nach der Projektlaufzeit ändert, so ist dies umgehend zu dokumentieren. Alle Projektbeteiligten sind über diese Änderung und die daraus resultierenden Konsequenzen zu informieren.

Prototypenschutz

Die Klassifizierung eines Projektes schließt unabhängig von den oben genannten Schutzzielen auch die Tatsache mit ein, ob und inwieweit im Umfang des Projektes Prototypen verwendet werden. Zwar liegt der direkte Umgang mit Prototypen nicht bei Parasol Island, dennoch bedarf es in solchen Projekten besonderer Sorgfalt und Vorbereitung.

Daher gelten für Projekte mit Prototypen zusätzlich zu den o.g. Schutzzielen folgende Regelungen:

1. Mitarbeiter und Projektbeteiligte sind vor Projekteinstieg über die Regelungen und Maßnahmen in Bezug auf den Umgang mit Prototypen zu schulen. Dies schließt insbesondere projektspezifische Regelungen mit ein.
2. Je nach Projektfortschritt sind solche Schulungen in Bezug auf die für den jeweiligen Projektabschnitt geltenden Regelungen und Maßnahmen zu wiederholen.
3. Mitarbeiter, die regelmäßig in Projekten mit Prototypen umgehen, sind unabhängig von ihren Projekten im Umgang mit Prototypen zu schulen. Dies wird in der Richtlinie zu Schulungen und Weiterbildungen (ISMS, 02_15) festgelegt.

Risikomanagement in Projekten

In jedem Projekt wird zu Projektbeginn, im besten Fall bereits während der initialen Projektplanung eine Risikoanalyse vorgenommen. Notwendig ist eine Analyse der Risiken bezüglich der Informationssicherheit, aber es empfiehlt sich, auch andere Projektrisiken zu betrachten. Auf Basis der Analyse sind Maßnahmen zur Risikobehandlung abzuleiten. Die Risikoanalyse ist vom Projektleiter durchzuführen. Auf Wunsch kann der Informationssicherheitsberater dabei unterstützen. Bei streng vertraulichen Projekten ist der Informationssicherheitsberater verpflichtend mit einzubeziehen.

Risiken, die die Parasol Island im Ganzen behandeln kann, werden im Zuge des allgemeinen Risikomanagements betrachtet (ISMS, 02_12), so dass nur die projektspezifischen Risiken betrachtet werden müssen.

Ergeben sich während des Projektverlaufs Änderungen an den Risikofaktoren, so ist die Risikoanalyse zu wiederholen und die Maßnahmen gegebenenfalls an die neuen Verhältnisse anzupassen. Insbesondere bei Projekten mit hohem Schutzbedarf oder Projekten mit langem Projektzeitraum, sind die Risiken und Maßnahmen regelmäßig zu überprüfen und eventuell neu zu bewerten.

In einzelnen Projekten gewonne Erkenntnisse, die sich aus den Risiken und Maßnahmen ableiten lassen, und die zu einer Verbesserung der Informationssicherheit bzw. im Umgang mit Projektrisiken führen, sind auf alle Projekte zu übertragen.